Te vroeg beginnen aan een ISO 27001 fase 1-audit is een veelgemaakte en kostbare fout. De vuistregel is duidelijk: je bent klaar voor een fase 1-audit wanneer je Information Security Management System (ISMS) volledig gedocumenteerd is, de risicoanalyse is uitgevoerd en de doelstellingen voor informatiebeveiliging zijn vastgesteld. Zonder die basis loopt de audit vrijwel zeker vast. In dit artikel beantwoorden we de meest gestelde vragen over voorbereiding, timing en wat de auditor precies beoordeelt. Twijfel je of jouw organisatie al klaar is? Neem gerust contact op en we denken graag met je mee.
Wat zijn de vereisten om klaar te zijn voor een fase 1-audit?
Om klaar te zijn voor een ISO 27001 fase 1-audit moet je organisatie beschikken over een gedocumenteerd ISMS dat voldoet aan de eisen van de norm. Concreet betekent dit: een vastgesteld toepassingsgebied (scope), een risicobeoordelingsproces, een Verklaring van Toepasselijkheid (VvT/SoA) en aantoonbaar leiderschap en commitment vanuit het management.
De fase 1-audit is in essentie een documentatiereview. De auditor wil zien dat het fundament er staat, niet dat alles al perfect werkt. Toch zijn er minimale vereisten waaraan de documentatie moet voldoen voordat de audit zinvol is.
- Scope van het ISMS: Duidelijk omschreven welke processen, locaties en systemen onder het ISMS vallen.
- Informatiebeveiligingsbeleid: Een goedgekeurd beleidsdocument dat is ondertekend door het management.
- Risicoanalyse: Een gedocumenteerde methode voor risicobeoordeling én een actuele risicoregistratie.
- Verklaring van Toepasselijkheid (SoA): Een overzicht van alle beheersmaatregelen uit Annex A met een motivatie voor het al dan niet toepassen ervan.
- Doelstellingen voor informatiebeveiliging: Meetbare doelen die aantonen dat de organisatie actief werkt aan verbetering.
- Intern auditplan: Een plan voor interne audits, ook als de eerste interne audit nog niet heeft plaatsgevonden.
Zijn deze documenten niet op orde, dan is de kans groot dat de fase 1-audit resulteert in een negatieve beoordeling of dat de fase 2-audit ver naar achteren wordt geschoven. Dat kost tijd, geld en energie die beter besteed kan worden aan verdere implementatie.
Hoe weet je of je ISMS volwassen genoeg is voor fase 1?
Je ISMS is volwassen genoeg voor de fase 1-audit wanneer het niet alleen op papier bestaat, maar ook aantoonbaar wordt toegepast binnen de organisatie. Medewerkers moeten op de hoogte zijn van hun rol, procedures moeten worden gevolgd en er moet bewijs zijn van minimale operationele werking, zoals logboeken, trainingsregistraties of vergadernotulen.
Een veelgehoord misverstand is dat het ISMS al volledig volwassen moet zijn voordat je fase 1 ingaat. Dat klopt niet. Fase 1 toetst de gereedheid voor fase 2, niet de volledige volwassenheid. Maar er is wel een ondergrens.
Een praktische zelfcheck om te bepalen of je klaar bent:
- Zijn alle verplichte documenten aanwezig en actueel?
- Weet het management wat het ISMS inhoudt en heeft het dit formeel goedgekeurd?
- Is de risicoanalyse uitgevoerd en gedocumenteerd?
- Zijn de meest kritieke beheersmaatregelen geïmplementeerd of is er een duidelijk plan daarvoor?
- Is er een intern auditproces gepland of al uitgevoerd?
- Is er een managementreview geweest?
Kun je op al deze vragen bevestigend antwoorden, dan is de kans groot dat je ISMS voldoende volwassen is voor fase 1. Zijn er meerdere nee’s, dan is het verstandig om eerst die hiaten te dichten. Wij helpen organisaties bij het beoordelen van deze gereedheid als onderdeel van onze ISO 27001-certificeringsdienst.
Wat zijn de meest gemaakte fouten vóór een fase 1-audit?
De meest gemaakte fout vóór een ISO 27001 fase 1-audit is het inplannen van de audit terwijl de documentatie nog niet compleet of niet actueel is. Andere veelvoorkomende fouten zijn een te brede of juist te smalle scope, een risicoanalyse die niet aansluit op de werkelijkheid, en onvoldoende betrokkenheid van het management.
Hieronder de fouten die we het meest tegenkomen en die allemaal vermijdbaar zijn met een goede voorbereiding:
- Ontbrekende of verouderde SoA: De Verklaring van Toepasselijkheid is een kerndocument. Ontbreekt deze of is ze niet actueel, dan kan fase 1 niet worden afgerond.
- Risicoanalyse die niet aansluit op de scope: Wanneer de geïdentificeerde risico’s niet overeenkomen met de daadwerkelijke processen en systemen binnen de scope, mist de risicoanalyse geloofwaardigheid.
- Management dat het ISMS niet kent: De auditor stelt ook vragen aan leidinggevenden. Als die het beleid niet kennen of geen commitment tonen, is dat een serieus aandachtspunt.
- Geen interne audit uitgevoerd: Hoewel dit formeel pas verplicht is voor fase 2, verwacht de auditor bij fase 1 wél een plan en bij voorkeur al een eerste uitvoering.
- Scope te breed gekozen: Een te brede scope betekent meer te beoordelen systemen, meer risico’s en meer beheersmaatregelen. Dat vergroot de kans op bevindingen aanzienlijk.
- Documentatie bestaat, maar wordt niet gebruikt: Procedures die op papier staan maar in de praktijk niet worden gevolgd, zijn voor een auditor een rode vlag.
Elk van deze fouten kan leiden tot uitstel van fase 2, extra herstelwerk of zelfs een negatief auditresultaat. Vroeg signaleren is de beste remedie. Meer over de basis van informatiebeveiliging vind je op onze website.
Wanneer is het juiste moment om een fase 1-audit in te plannen?
Het juiste moment om een ISO 27001 fase 1-audit in te plannen is wanneer alle verplichte documentatie compleet is, de risicoanalyse en SoA zijn vastgesteld, en het management aantoonbaar betrokken is bij het ISMS. In de praktijk betekent dit doorgaans drie tot zes maanden na de start van de ISMS-implementatie, afhankelijk van de organisatiegrootte en complexiteit.
Er is geen vaste tijdlijn die voor elke organisatie geldt. Een kleine ICT-organisatie met een heldere scope kan soms al na drie maanden klaar zijn. Een zorginstelling of overheidsorganisatie met complexe processen en meerdere locaties heeft vaak langer nodig. De sleutel is niet de tijd die verstrijkt, maar de gereedheid van het systeem.
Een goede indicatie dat het moment is aangebroken:
- Alle verplichte documenten zijn aanwezig en zijn goedgekeurd door het management.
- De risicoanalyse en het behandelingsplan zijn actueel en realistisch.
- Medewerkers zijn op de hoogte van het beleid en hun verantwoordelijkheden.
- Er is minimaal één interne audit gepland of al uitgevoerd.
- Een managementreview heeft plaatsgevonden of staat gepland.
Plan fase 1 niet te vroeg om de deadline te halen of omdat een klant of aanbesteding druk zet. Een negatieve fase 1 vertraagt het traject juist meer dan een paar weken extra voorbereiding. Realistisch plannen is de slimste strategie.
Hoe verloopt een fase 1-audit en wat beoordeelt de auditor?
Een ISO 27001 fase 1-audit is een documentatiereview waarbij de auditor beoordeelt of het ISMS voldoende is opgezet en gedocumenteerd om door te gaan naar fase 2. De auditor bekijkt de scope, het beleid, de risicoanalyse, de SoA en andere verplichte documenten, en beoordeelt of de organisatie klaar is voor een volledige systeemaudit.
Fase 1 duurt doorgaans één dag, soms twee bij grotere organisaties. Het is geen inspectie van de werkvloer, maar een gestructureerd gesprek en documentenonderzoek. De auditor stelt gerichte vragen aan de ISMS-verantwoordelijke en het management om te begrijpen hoe het systeem is ingericht.
Wat bekijkt de auditor concreet?
De auditor beoordeelt de aanwezigheid en kwaliteit van alle verplichte documenten die ISO 27001 vereist. Dat omvat het informatiebeveiligingsbeleid, de scope, de risicoanalyse, de risicobehandeling, de SoA, doelstellingen, interne auditplannen en de managementreview. Elk document wordt getoetst op compleetheid, actualiteit en logische samenhang.
Wat zijn de mogelijke uitkomsten?
Na fase 1 ontvangt de organisatie een auditrapport met bevindingen. Er zijn drie mogelijke uitkomsten: de organisatie is gereed voor fase 2, er zijn aandachtspunten die voor fase 2 moeten worden opgelost, of er zijn zodanige tekortkomingen dat fase 1 opnieuw moet worden uitgevoerd. In het laatste geval is er sprake van een te vroege start, precies wat dit artikel helpt te voorkomen.
Bij DigiTrust benaderen we fase 1 altijd constructief. We signaleren niet alleen wat ontbreekt, maar geven ook concreet advies over wat er nodig is om fase 2 succesvol in te gaan. Zo zorgen we ervoor dat de audit écht waarde toevoegt, ook als er nog verbeterpunten zijn.
Wil je weten of jouw organisatie klaar is voor fase 1, of wil je alvast een audittraject inplannen? Neem contact op en we bespreken samen de beste aanpak voor jouw situatie.
Veelgestelde vragen
Wat moet er minimaal aanwezig zijn voordat we een fase 1-audit kunnen inplannen?
V: Wat moet er minimaal aanwezig zijn voordat we een fase 1-audit kunnen inplannen? A: Voordat je een fase 1-audit inplant, moeten de scope, het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid en de informatiebeveiligingsdoelstellingen volledig gedocumenteerd en goedgekeurd zijn door het management, zodat de auditor een solide fundament kan beoordelen.
Hoe lang duurt het gemiddeld om een organisatie klaar te maken voor een fase 1-audit?
V: Hoe lang duurt het gemiddeld om een organisatie klaar te maken voor een fase 1-audit? A: De voorbereidingstijd verschilt per organisatie: een kleine ICT-organisatie met een heldere scope kan soms al na drie maanden klaar zijn, terwijl complexere organisaties met meerdere locaties of processen doorgaans drie tot zes maanden of langer nodig hebben om het ISMS afdoende op te zetten.
Wat gebeurt er als de fase 1-audit negatief uitvalt?
V: Wat gebeurt er als de fase 1-audit negatief uitvalt? A: Bij een negatieve fase 1-uitkomst moet de organisatie de geconstateerde tekortkomingen eerst oplossen voordat fase 2 kan plaatsvinden, wat betekent dat de fase 1-audit opnieuw uitgevoerd moet worden en het certificeringstraject aanzienlijk vertraging oploopt, met extra kosten en tijdverlies als gevolg.
Waarom is betrokkenheid van het management zo belangrijk voor een succesvolle fase 1-audit?
V: Waarom is betrokkenheid van het management zo belangrijk voor een succesvolle fase 1-audit? A: De auditor stelt ook directe vragen aan leidinggevenden om te toetsen of zij het ISMS kennen en actief ondersteunen; zonder aantoonbaar commitment van het management ontbreekt een essentieel fundament van ISO 27001, wat direct leidt tot serieuze bevindingen die fase 2 kunnen blokkeren.
Gerelateerde artikelen
- Waarom is de onafhankelijkheid van een certificerende instelling belangrijk?
- Wat is het verschil tussen een bevinding en een non-conformiteit?
- Wat is het verschil tussen een adviesbureau en een certificerende instelling?
- Welke normen bestaan er voor informatiebeveiliging in Nederland?
- Wat zijn de kosten van ISO 27001 certificering in 2026?
